Neonkauf

Datenschutzerklärung

Stand: 11. Oktober 2026

Entwurf zur rechtlichen Prüfung: Diese Erklärung ist noch nicht anwaltlich freigegeben.

Das Wichtigste in Kürze

1. Verantwortlicher

Verantwortlich für die hier beschriebene Verarbeitung ist die Nablus Labs UG (haftungsbeschränkt), Wrangelstr. 77, 10997 Berlin, Deutschland, vertreten durch den Geschäftsführer Ramzi Hijjawi.

Zum Datenschutz erreichst du uns unter contact@ramzihijjawi.me oder über das Kontakt- und Meldeformular. Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu nicht verpflichtet sind (§ 38 BDSG).

2. Besuch der Website oder App

Hosting und Server-Logs. Website und API werden von Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, gehostet. Um Seiten auszuliefern und den Dienst sicher zu halten, verarbeitet der Hoster deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den User-Agent deines Browsers und die verweisende Seite. Unsere Datenbank läuft auf unserem eigenen Server bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Deutschland. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem sicheren und funktionierenden Dienst).

Fehlerberichte. Wenn auf unserem Server etwas schiefgeht, protokollieren wir die Anfragemethode, den Pfad ohne Query-String und die Fehlermeldung. Eine kurze Benachrichtigung mit denselben Angaben geht in unseren Team-Chat. Diese Berichte enthalten weder IP-Adressen noch Kontodaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Fehlerbehebung).

Karte. Die Kartenkacheln und Schriften im Hintergrund lädt dein Browser direkt von OpenFreeMap (tiles.openfreemap.org). OpenFreeMap erhält dadurch deine IP-Adresse und den Kartenausschnitt, den du ansiehst. Die Kartendaten stammen von © OpenStreetMap-Mitwirkenden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (eine Karte ohne kommerziellen Kartenanbieter, der Nutzerprofile bildet).

Spätis im Ausschnitt. Um Spätis anzuzeigen, fragt dein Browser unseren Server nach den Läden im sichtbaren Kartenausschnitt. Entfernungen, „jetzt offen“ und „Beste Wahl“ werden auf deinem Gerät berechnet.

Suche. Was du in die Suchleiste tippst, geht an unseren Server, um Läden und Getränke zu finden. Für Adressen und Orte fragt unser Server in deinem Auftrag Photon, einen Geocoder der komoot GmbH (Potsdam): Photon erhält nur die Suchwörter und die auf etwa 1 km gerundete Kartenmitte, nie deine IP-Adresse. Die Antworten speichern wir einen Tag zwischen. Bei einer Postleitzahl lädt die Seite eine Datei für die ersten beiden Ziffern, sodass unser Server die vollständige Postleitzahl nicht erfährt.

Seitenaufrufe. Wir zählen, wie oft jede Späti-Seite pro Tag aufgerufen wird. Der Zähler speichert nur den Laden und das Datum: keine IP-Adresse, kein Cookie, keine Geräteinformationen.

Besuchsstatistik. Um zu sehen, wie viele Menschen die Seite nutzen und welche Seiten sie öffnen, verwenden wir Simple Analytics (Simple Analytics B.V., Niederlande), geladen über unsere eigene Subdomain. Es setzt keine Cookies, speichert keine IP-Adressen und bildet keine Profile; erfasst werden die Seite, die verweisende Website, die Bildschirmgröße, der Browser und ein ungefähres Land. Besuche mit „Do Not Track“ werden ebenso gezählt, ohne etwas, das sie identifiziert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (verstehen, wie der Dienst genutzt wird).

Sprache. Wir zeigen die Seite auf Deutsch oder Englisch, je nach den Spracheinstellungen deines Browsers. Wenn du unten auf einer Seite eine Sprache auswählst, merken wir uns das in einem Cookie (NEXT_LOCALE, ein Jahr).

Speicherung auf deinem Gerät. Die Karte merkt sich deine Filter im lokalen Speicher deines Browsers (Schlüssel filters). Das bleibt auf deinem Gerät und wird nie an uns geschickt. Das Sprach-Cookie wird nur gesetzt, wenn du eine Sprache auswählst, und angemeldete Nutzer erhalten zusätzlich ein Sitzungs-Cookie (siehe Abschnitt 4). Andere Cookies oder vergleichbare Techniken setzen wir nicht ein, abgesehen von denen von hCaptcha (Abschnitt 4). Das Speichern der Filter, der Sprache und des Sitzungs-Cookies ist für Funktionen, die du aufrufst, unbedingt erforderlich; eine Einwilligung ist daher nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG).

3. Dein Standort

Deinen Standort nutzen wir nur, wenn du ihn in deinem Browser oder in den Einstellungen deines Telefons freigibst; dort kannst du die Freigabe jederzeit zurücknehmen. Die App fragt nie nach dem Standort im Hintergrund: Sie nutzt ihn nur, solange sie geöffnet ist. Eine Späti-Seite verwendet deinen Standort nur, wenn du ihn schon freigegeben hast, und fragt nie von sich aus.

Auf deinem Gerät: anzeigen, wo du bist, Entfernungen, „Beste Wahl“ und die Prüfung, ob du in einem Laden stehst.

An uns übermittelt:

Rechtsgrundlage: deine Einwilligung in den Zugriff auf den Standort deines Geräts (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO) und für die Prüfung im Laden Art. 6 Abs. 1 lit. f DSGVO (verlässliche, schwer zu fälschende Daten aus der Community).

4. Dein Konto

Ein Konto brauchst du nur, um beizutragen. Bei der Registrierung speichern wir deine E-Mail-Adresse, einen Passwort-Hash (scrypt; dein Passwort sehen wir nie), den eingegebenen Namen (sonst den ersten Teil deiner E-Mail-Adresse), deine Rolle und den Zeitpunkt der Registrierung. Später kommen deine Punkte, Abzeichen, dein Vertrauenswert und, wenn du sie wählst, ein Spitzname, deine Zustimmung zur Rangliste und deine Lieblingsgetränke mit ihren Farben hinzu. Deine Lieblingsgetränke siehst nur du. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos nach unseren Nutzungsbedingungen).

Anmeldesitzung. Wenn du dich anmeldest, setzen wir ein Sitzungs-Cookie, das dich bis zu 7 Tage angemeldet hält. Auf unserem Server enthält der Sitzungsdatensatz deine IP-Adresse und den User-Agent deines Browsers, damit du und wir Sitzungen erkennen können, die nicht von dir stammen. Er wird gelöscht, wenn du dich abmeldest oder die Sitzung abläuft.

E-Mails. Wir schicken E-Mails, um deine Adresse zu bestätigen (der Link gilt 24 Stunden), um dein Passwort zurückzusetzen und um auf Meldungen zu antworten. Sie werden über Resend (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) zugestellt, das dabei deine E-Mail-Adresse und die Nachricht verarbeitet.

Schutz vor Bots. Registrierung, Anmeldung, Zurücksetzen des Passworts und Meldungen ohne Konto sind durch hCaptcha (Intuition Machines, Inc., 350 Alabama St, San Francisco, CA 94110, USA) geschützt. hCaptcha verarbeitet deine IP-Adresse und technische Angaben zu Browser und Gerät und kann Cookies setzen, um Menschen von automatisierten Skripten zu unterscheiden. Wenn wir das hCaptcha-Token einer Meldung selbst prüfen, schicken wir nur das Token, nicht deine IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz von Konten und Dienst vor automatisiertem Missbrauch) und § 25 Abs. 2 Nr. 2 TDDDG für den Zugriff auf dein Gerät. Datenschutzerklärung von hCaptcha: hcaptcha.com/privacy.

Missbrauchsschutz für Konten. Für Anmeldung und Kontosicherheit nutzen wir Better Auth Infrastructure (Better Auth, Inc., USA). Wenn du dich registrierst, anmeldest oder Sicherheitseinstellungen deines Kontos änderst, erhält der Dienst deine IP-Adresse, den User-Agent deines Browsers, ein aus der IP-Adresse abgeleitetes ungefähres Land, deine Konto-ID und E-Mail-Adresse sowie die Art des Vorgangs. Er nutzt diese Angaben, um Credential-Stuffing und andere Angriffe zu erkennen und uns ein Prüfprotokoll bereitzustellen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Kontosicherheit).

Begrenzung von Anfragen. Um Angriffe zu bremsen, zählt unser Server Anfragen pro IP-Adresse und Endpunkt über kurze Zeiträume (eine bis zehn Minuten).

5. Deine Beiträge

Wenn du einen Preis, eine Zahlungsart, eine Ausstattung, eine „nicht erhältlich“-Meldung, einen neuen Laden, eine Ladenbestätigung oder ein neues Getränk einträgst, speichern wir das mit deinem Konto, dem Laden, der Uhrzeit, der Entfernung zum Laden (siehe Abschnitt 3) und dem Prüfstatus. Lehnt ein Moderator den Beitrag ab, speichern wir den Grund, den du in deinem Verlauf siehst. Das Scannen eines Barcodes geschieht auf deinem Gerät; übermittelt wird nur die Nummer.

Was andere sehen. Preise und Angaben zu Läden sind öffentlich, mit ihrem Alter und der Zahl der Bestätigungen, aber nie mit deinem Namen oder deiner E-Mail-Adresse. Die Rangliste zeigt deinen Spitznamen nur, wenn du einen festlegst und zustimmst; sonst erscheinst du als „Anonyme Person“. Moderatoren sehen, welches Konto welchen Beitrag geschickt hat.

Vertrauenswert. Damit die Daten verlässlich bleiben, berechnen wir aus deinem bisherigen Beitragsverlauf einen Vertrauenswert: wie viele deiner Beiträge angenommen, von anderen bestätigt oder abgelehnt wurden. Er entscheidet, ob ein neuer Beitrag sofort live geht, auf eine zweite Person wartet oder an einen Moderator geht, und wie viele Beiträge du pro Tag machen kannst. Außerhalb der App hat er keine Auswirkungen, und ein Moderator kann jede Entscheidung überprüfen: Schreib uns, wenn du sie für falsch hältst. Punkte und Abzeichen werden aus demselben Verlauf berechnet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (die Funktionen für Mitwirkende, für die du dich angemeldet hast) und Art. 6 Abs. 1 lit. f DSGVO (richtige Daten und Schutz vor Manipulation).

6. Ein Problem melden

Mit dem Meldeformular kannst du uns auf falsche Angaben hinweisen, als Inhaber eine Korrektur verlangen oder rechtswidrige Inhalte melden. Wir speichern die Art der Meldung, den betroffenen Laden oder die Adresse, deine Nachricht sowie deinen Namen und deine E-Mail-Adresse, wenn du sie angibst (erforderlich bei Anfragen von Inhabern und Meldungen rechtswidriger Inhalte). Wenn du angemeldet bist, verknüpfen wir die Meldung mit deinem Konto und antworten an dessen E-Mail-Adresse. IP-Adresse und Geräteinformationen speichern wir zu einer Meldung nicht.

Wir nutzen das, um die Daten zu korrigieren, den Eingang zu bestätigen und dir unsere Entscheidung und ihre Gründe per E-Mail mitzuteilen. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 des Digital Services Act bei Meldungen rechtswidriger Inhalte, sonst Art. 6 Abs. 1 lit. f DSGVO (richtige Daten und Bearbeitung von Beschwerden).

7. Angaben zu Spätis

Die Späti-Seiten zeigen Name, Adresse, Lage, Öffnungszeiten, Zahlungsarten, Ausstattung und Getränkepreise jedes Spätis. Diese stammen aus OpenStreetMap (© OpenStreetMap-Mitwirkende, ODbL), von unseren Nutzern und aus eigenen Besuchen. Wird ein Späti von einem Einzelunternehmer geführt, können einige dieser Angaben personenbezogene Daten des Inhabers sein. Wir veröffentlichen sie, damit Menschen Läden finden und Preise vergleichen können; das liegt im berechtigten Interesse der Öffentlichkeit und in unserem (Art. 6 Abs. 1 lit. f DSGVO, Art. 14 DSGVO). Preise beschreiben wir neutral und erstellen nie Ranglisten der „teuersten“ Läden.

Späti-Seiten sind öffentlich und über Suchmaschinen auffindbar. Inhaber und Mitarbeitende können über „Problem melden“ auf der Seite ihres Ladens oder per E-Mail an contact@ramzihijjawi.me Korrekturen verlangen oder widersprechen.

8. Die App für iOS und Android

Die App zeigt diese Website und behandelt deine Daten genauso. Zusätzlich nutzt sie den Standortdienst deines Telefons (nur solange die App geöffnet ist), die Kamera für den Barcode-Scanner (Bilder werden weder gespeichert noch übermittelt, nur die gescannte Nummer), haptisches Feedback und, wenn du ein Foto zu einem Getränk auswählst, deine Fotomediathek. Jede dieser Funktionen braucht deine Erlaubnis in den Einstellungen des Telefons. Die App bringt keine eigenen Analyse- oder Werbewerkzeuge mit und verschickt keine Push-Benachrichtigungen.

Apple und Google verarbeiten beim Herunterladen der App Daten nach ihren eigenen Datenschutzbestimmungen.

9. Empfänger

Konto- und Beitragsdaten sehen bei der Nablus Labs UG (haftungsbeschränkt) nur Personen, die sie für ihre Arbeit brauchen (Moderatoren und Administratoren). Wir setzen diese Dienstleister ein, die, soweit sie Daten in unserem Auftrag verarbeiten, an Verträge zur Auftragsverarbeitung gebunden sind (Art. 28 DSGVO):

Vercel Inc., USA
Hosting von Website und API
Hetzner Online GmbH, Deutschland (Rechenzentrum in Deutschland)
Server für unsere Datenbank
Cloudflare, Inc. (R2), Speicherung in der EU
Speicherung von Getränkefotos
Resend, Inc., USA
Versand von E-Mails
Intuition Machines, Inc. (hCaptcha), USA
Schutz vor Bots
Better Auth, Inc., USA
Kontosicherheit und Prüfprotokoll
OpenFreeMap
Kartenkacheln (direkt von deinem Browser geladen)
komoot GmbH (Photon), Deutschland
Adresssuche (keine personenbezogenen Daten)
Inngest, Inc., USA
Geplante Hintergrundaufgaben (keine personenbezogenen Daten)
Simple Analytics B.V., Niederlande
Anonyme Besuchsstatistik

Daten geben wir an Behörden nur weiter, wenn das Gesetz es verlangt. Wir verkaufen keine personenbezogenen Daten und nutzen sie nicht für Werbung.

10. Übermittlung in Länder außerhalb der EU

Einige der genannten Dienstleister haben ihren Sitz in den USA. Die Übermittlung an sie stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und sonst auf die Standardvertragsklauseln der Kommission (Art. 46 Abs. 2 lit. c DSGVO).

11. Speicherdauer

12. Deine Rechte

Du hast das Recht auf Auskunft über deine Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16) und Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18), auf Datenübertragbarkeit (Art. 20) sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Schreib an contact@ramzihijjawi.me. Auf der Du-Seite kannst du deinen Spitznamen ändern, dich aus der Rangliste nehmen und dein Konto selbst löschen.

Widerspruchsrecht (Art. 21 DSGVO). Soweit wir deine Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen. Wir hören dann damit auf, es sei denn, wir haben zwingende schutzwürdige Gründe, die deine Interessen überwiegen, oder brauchen die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, datenschutz-berlin.de.

13. Weitere Punkte

Alter. Für ein Konto musst du mindestens 16 Jahre alt sein.

Musst du Daten angeben? Nein. Ohne Konto kannst du alles außer Beitragen nutzen. Ohne Standortfreigabe funktioniert die Karte, du kannst aber nicht im Laden beitragen und „Beste Wahl“ nicht nutzen.

Sicherheit. Alle Verbindungen sind verschlüsselt (HTTPS), Passwörter werden nur als Hash gespeichert, und unsere Datenbank steht in der EU.

Zahlungen. Zahlungsdaten verarbeiten wir derzeit nicht. Falls wir eine kostenpflichtige Mitgliedschaft einführen, passen wir diese Erklärung vorher an.

Änderungen. Wir aktualisieren diese Erklärung, wenn sich unsere Dienste ändern. Das Datum oben zeigt die aktuelle Fassung.

Impressum · Nutzungsbedingungen